尧图网站建设 
简介计算机网络课程设计某办公楼局域网系统设计是一份面向高校计算机网络课程设计任务的高质量参考文档适用于数据通信与计算机通信网等课程的实践环节。文档以五层办公楼120台电脑接入网络、但仅有100个可用IP的典型场景为背景完整覆盖系统需求分析、方案设计、网络模拟三大阶段包括IP地址DHCP动态分配、CISCO交换机选型与级联、星型拓扑结构搭建、Windows NT操作系统选择、DNS与WWW服务器配置以及网络安全设计等具体内容。资源为1个docx格式文档压缩包大小1.51MB文件内容包含课程设计说明书全文附带摘要、目录、参考文献等标准结构便于读者直接参考或按模板修改。已有158人学习下载适合正在完成局域网设计类课程作业或需要撰写课程设计说明书的本科生使用。通过研读该文档读者能够掌握办公楼局域网从需求分析到网络模拟的完整设计流程理解DHCP、VLAN、交换机级联等关键技术的实际应用方法。1. 120 台终端、100 个 IP办公楼局域网设计的真实约束设计一个小型办公楼局域网最容易在开始时被一个数字卡住五层楼120 台电脑需要接入网络物业只分配了 100 个 IP。一个 IP 对应一台终端的做法在这里行不通必须把私有地址、DHCP 动态分发和出口地址复用一起考虑进去。这份计算机网络课程设计正是围绕这个约束展开的最终用 Cisco 2960 交换机组了两级级联局域网配合 DNS 和 WWW 服务器在 Packet Tracer 里把整套方案跑通。对正在完成数据通信课程设计的学生来说这里其实有三个容易丢分的细节第一选型理由写不清楚为什么用一台 2960 做一级、六台 2960 做二级第二DHCP 地址池和那 100 个 IP 的关系没说透第三验证只做 ping没有把 DNS、WWW 和不同网段间的转发一起验证。后面会按需求拆解、拓扑与地址规划、设备配置、模拟验证、安全与排错这条线往下讲。真正现场实施时场景会有差异但核心思路一致先用需求约束倒推拓扑再基于拓扑做服务配置最后用模拟工具验证。下面直接进入设计。2. 级联星型拓扑与 IP 编址Cisco 2960 的端口规划和 NAT 方案2.1 为什么选 2960 做二级级联Cisco WS-C2960-24 是一台非常典型的二层接入交换机。传输速率 10/100 Mbps端口数 26 个其中 24 个电口用于接终端2 个是上行扩展口支持 VLAN交换方式为存储-转发MAC 地址表 8K包转发率约 6.5 Mpps。放在这个场景里选它主要原因是 120 台终端不需要交换机具备三层路由能力终端之间的跨网段通信交给路由器完成交换机只负责转发数据帧二层设备足够。拓扑采用级联星型结构一台一级交换机作为汇聚点六台二级交换机分别连接各楼层的终端。因为五层楼中有一层终端数量较多所以那一层放两台二级交换机另外四层各放一台。每台二级交换机是 24 口留一个上联口后还能接 23 台终端六台合计可以提供 138 个接入端口覆盖 120 台 PC 有余量。为什么不直接拉一根长线把所有终端接到一台大交换机上办公楼物理位置分散五层楼的水平布线距离很容易超过双绞线 100 米的可靠传输上限。按楼层布置接入交换机再通过一级交换机汇聚是成本和控制范围都比较均衡的做法。2.2 IP 编址内网私有地址和公网地址分开规划物业分配的 100 个 IP 不应该直接配到终端网卡上否则地址数量和终端数量对不上。终端侧采用私有网段 192.168.0.0/24由 DHCP 服务统一分配服务器和网关使用静态地址终端从地址池中动态获取。公网那 100 个 IP 放在路由器外网侧作为 NAT 转换的地址池使用。角色地址范围 / 网段分配方式说明终端 PC192.168.0.100 - 192.168.0.199DHCP动态租约避免手工配置冲突网关192.168.0.254静态路由器 LAN 口地址DNS/WWW 服务器192.168.0.10静态部署在机房地址固定预留地址192.168.0.1 - 192.168.0.99200 - 253排除交换机管理地址、临时调试用出口地址100.64.0.1 - 100.64.0.100NAT 地址池供 120 台终端复用上网这里有两点容易被忽略第一DHCP 地址池必须排除服务器和网关地址否则服务器 192.168.0.10 可能被分配给某台终端导致 DNS 和 WWW 服务全部不可达第二120 台终端可以在内网网段中各取所需访问外网时由路由器把私有地址转换成公网地址即使只有一个公网 IP也可以用 overload 方式让 120 台终端同时上网100 个 IP 的地址池主要是提高并发会话能力。2.3 一级交换机的端口连接与模拟器里的物理拓扑在 Packet Tracer 中连接关系可以按下面的端口规划搭建一级交换机 2960-24 端口规划 Gi0/1 - 路由器内网接口 Gi0/2 - DNS/WWW 服务器 Gi0/3 - 二层交换机 F1 Gi0/4 - 二层交换机 F2 Gi0/5 - 二层交换机 F3 Gi0/6 - 二层交换机 F4 Gi0/7 - 二层交换机 F5-A Gi0/8 - 二层交换机 F5-B Fa0/1-24 - 各楼层终端这段规划说明了为什么一级交换机不需要太多端口它不直接接终端只接路由器、服务器和六台二级交换机总共八个口就够。”我一般会”把服务器放在机房机房的物理位置尽量选在楼宇中心方便水平布线和降低线缆成本。模拟器环境里PC 到交换机选直通线交换机到交换机、路由器到交换机选交叉线新版本 Packet Tracer 会自动协商但课程设计说明书里最好还是把线缆类型写明。3. 交换机初始化与 DHCP/DNS/WWW 服务落地3.1 核心交换机基础配置先登录一级交换机做最基础的配置。模拟器里不用配置路由协议只需要保证端口处于开启状态并让终端所在 VLAN 保持默认一致。enable configure terminal hostname Core-SW interface range FastEthernet0/1-24 duplex auto speed auto no shutdown exit interface range GigabitEthernet0/1-2 no shutdown exit这段命令把 24 个百兆口和 2 个千兆口全部开启双工和速率设为自动协商。原因是终端网卡速率可能不一致手动锁定为 100 Mbps 会让老设备无法上线。no shutdown在 Packet Tracer 中可以省略但真机上必须执行否则端口会被管理性关闭。如果后续要划分 VLAN还要给对应端口加上switchport access vlan 10之类的命令。3.2 路由器接口与 NAT 配置路由器需要承担网关和 NAT 两个任务。内网接口接到一级交换机外网接口接到运营商侧并启用 NAT 转换。enable configure terminal hostname Office-GW interface GigabitEthernet0/0 ip address 192.168.0.254 255.255.255.0 ip nat inside no shutdown exit interface GigabitEthernet0/1 ip address 100.64.0.1 255.255.255.0 ip nat outside no shutdown exit access-list 1 permit 192.168.0.0 0.0.0.255 ip nat inside source list 1 interface GigabitEthernet0/1 overloadip nat inside和ip nat outside分别标记接口属于内网还是外网这是 NAT 转换的方向依据。access-list 1允许 192.168.0.0/24 这个私有网段被转换。最后一行overload是关键它让内网所有终端复用路由器外网接口的公网地址去访问外部网络也就是端口地址转换 PAT。物业分配的 100 个 IP 如果要用满可以换成ip nat pool WAN-POOL 100.64.0.2 100.64.0.100 netmask 255.255.255.0然后把interface GigabitEthernet0/1替换成pool WAN-POOL。3.3 DHCP 服务配置DHCP 在本设计的部署位置有两种选择配置在路由器上或者配置在 Windows 服务器上。Packet Tracer 里更推荐配置在路由器上命令收敛排错方便。以路由器作为 DHCP 服务器地址池如下ip dhcp excluded-address 192.168.0.1 192.168.0.99 ip dhcp excluded-address 192.168.0.200 192.168.0.254 ip dhcp pool OFFICE-LAN network 192.168.0.0 255.255.255.0 default-router 192.168.0.254 dns-server 192.168.0.10 lease 1 0 0第一行和第二行是排除地址保证网关、服务器和管理地址不会被 DHCP 分出去。地址池OFFICE-LAN分配 192.168.0.100 到 192.168.0.199共 100 个可用租约但注意终端总数是 120内网地址空间本身是 254 个可用地址所以完全够用。真正受 100 个 IP 限制的是公网出口不是内网 DHCP。租约时间设为 1 天办公网终端数量固定租约太短会导致广播请求频繁太长则地址回收不灵活。如果改用 Windows Server 做 DHCP原理一致在 DHCP 管理控制台新建作用域地址范围填 192.168.0.100 到 192.168.0.199排除范围填 192.168.0.1 到 192.168.0.99 以及 200 到 254作用域选项填写路由器 192.168.0.254 和 DNS 服务器 192.168.0.10。3.4 DNS 与 WWW 服务器配置服务器先配置静态 IP避免因 DHCP 变化导致地址漂移。在 Packet Tracer 中服务器 IP 设为 192.168.0.10掩码 255.255.255.0网关 192.168.0.254DNS 指向自身。然后在服务页开启 DNS 服务添加一条 A 记录把www.office.local解析到 192.168.0.10最后开启 HTTP 服务默认页面会自动发布。真实 Linux 环境下的 Nginx 配置可以对应看server { listen 192.168.0.10:80; server_name www.office.local 192.168.0.10; root /var/www/office; index index.html; }这里listen指定服务器监听地址和端口server_name让域名访问和 IP 访问都能命中同一个站点root指向网页文件目录。Windows Server 上的 DNS 操作更简单只需要在 DNS 管理器里新建正向查找区域再添加主机记录即可。配置完成后终端通过 DHCP 自动获得 DNS 地址 192.168.0.10访问http://www.office.local时就能解析到服务器并加载页面。4. Packet Tracer 下的 DHCP、DNS 与跨网段转发验证4.1 DHCP 租约验证网络搭建完成后先验证终端能否获取地址。在 Packet Tracer 的 PC0 命令行里执行PC ipconfig /release PC ipconfig /renew PC ipconfigipconfig /release释放当前地址ipconfig /renew重新发起地址请求。正常输出会显示 IP 地址 192.168.0.100、子网掩码 255.255.255.0、默认网关 192.168.0.254 和 DNS 服务器 192.168.0.10。如果这里获取不到地址优先检查 DHCP 地址池是否配置正确、路由器接口是否启用以及终端是否连接在正确的交换端口上。从协议角度看ipconfig /renew触发的是 DHCP Discover、Offer、Request、ACK 四个过程。Packet Tracer 的仿真模式下可以逐个捕获这四种报文课程设计文档里放这一组截图比只写“DHCP 配置成功”更有说服力。4.2 DNS 与 WWW 服务验证终端获取地址后用 nslookup 验证域名解析PC nslookup www.office.local Server: 192.168.0.10 Address: 192.168.0.10 Name: www.office.local Address: 192.168.0.10返回结果里的 Server 是终端实际使用的 DNS 服务器地址。如果 nslookup 返回超时先确认服务器 DNS 服务处于开启状态再确认终端 DHCP 获取的 DNS 参数是不是 192.168.0.10。域名解析通过后在浏览器里输入http://www.office.local能打开页面就说明 DNS 和 WWW 全链路正常。4.3 同网段转发与跨网段通信验证终端 PC0 向同一网段主机 192.168.0.13 发送消息时数据包从 PC0 出发经二级交换机送到一级交换机再转发到目的终端所在的二级交换机。这个过程中源 IP 和目的 IP 都不变变化的只有数据帧的源 MAC 和目的 MAC。用 ping 验证如下PC ping 192.168.0.13跨网段通信则通过路由器完成。例如终端 ping 外网侧设备 100.64.0.254数据包先到达默认网关 192.168.0.254路由器将源地址从 192.168.0.100 转换为外网口地址再从外网接口转发出去。可以在 PC 上执行PC tracert 100.64.0.254第一跳显示 192.168.0.254说明数据包先经过网关后续路径能通就说明 NAT 和路由配置正常。这里建议单独使用一个不存在的公网地址做测试确认出口没有异常流量阻塞。若跨网段 ping 不通重点检查三处路由器内网接口是否配置ip nat inside外网接口是否配置ip nat outside以及access-list 1是否覆盖了全部内网网段。4.4 模拟器抓包观察数据转发Packet Tracer 的 Simulation 模式可以查看每个数据包的状态。点击 ICMP 包展开后能清楚看到数据帧头部信息同一网段内经过交换机时源 MAC 和目的 MAC 逐跳变化而 IP 层地址不变跨网段经过路由器时源 IP 被 NAT 改写。这个观察点对理解二层转发和三层路由的区别很关键。抓包时如果发现大量 ARP 广播往往是有终端手动配置了重复的 IP而不是 DHCP 统一分配导致的。5. 用 ACL 守住服务器用租约和 NAT 表审计办公网5.1 限制终端对服务器的非必要访问DNS 和 WWW 服务器只需要对外提供 53 端口和 80 端口服务。没有限制时任何终端都能尝试访问服务器的远程桌面、文件共享等端口这在办公网里很容易被利用。可以在路由器内网接口上做入向 ACL只放行指向服务器的 DNS 和 HTTP 流量。access-list 101 permit tcp any host 192.168.0.10 eq 80 access-list 101 permit udp any host 192.168.0.10 eq 53 access-list 101 deny ip any host 192.168.0.10 access-list 101 permit ip any any interface GigabitEthernet0/0 ip access-group 101 inACL 的关键是顺序先放行允许的服务再拒绝所有到服务器的流量最后放行其他内网互访流量。Cisco ACL 按第一条匹配如果先写deny ip any host 192.168.0.10后面的放行规则就不会生效。需要远程管理服务器时可以在第二条之前补一条permit tcp any host 192.168.0.10 eq 3389。5.2 用 DHCP 租约和 NAT 表判断容量瓶颈网络运行一段时间后不要只看通不通要看地址池和地址转换是否健康。路由器上三个命令足够定位大多数问题Router# show ip dhcp binding Router# show ip dhcp pool Router# show ip nat translationsshow ip dhcp binding会列出每个租约对应的终端地址和剩余时间如果发现地址池中的 IP 都被占用而终端数量并没有达到 120可能是有设备长时间占用租约需要把租期缩短。show ip nat translations查看公网地址复用情况如果大量转换记录的 inside global 都是同一个 IP说明 overload 正在正常工作如果看到 timeout 状态的记录堆积通常是应用层连接没有正常释放办公网内最常见的来源是下载工具和视频客户端。这里可以根据会话数估算容量一个公网 IP 理论可以维持数万个会话100 个 IP 的地址池对办公上网绰绰有余真正需要关注的是内网 DHCP 排除范围和租约回收节奏。本文还有配套的精品资源点击获取 小型办公局域网设计：Cisco 2960级联与DHCP/NAT配置实战
简介计算机网络课程设计某办公楼局域网系统设计是一份面向高校计算机网络课程设计任务的高质量参考文档适用于数据通信与计算机通信网等课程的实践环节。文档以五层办公楼120台电脑接入网络、但仅有100个可用IP的典型场景为背景完整覆盖系统需求分析、方案设计、网络模拟三大阶段包括IP地址DHCP动态分配、CISCO交换机选型与级联、星型拓扑结构搭建、Windows NT操作系统选择、DNS与WWW服务器配置以及网络安全设计等具体内容。资源为1个docx格式文档压缩包大小1.51MB文件内容包含课程设计说明书全文附带摘要、目录、参考文献等标准结构便于读者直接参考或按模板修改。已有158人学习下载适合正在完成局域网设计类课程作业或需要撰写课程设计说明书的本科生使用。通过研读该文档读者能够掌握办公楼局域网从需求分析到网络模拟的完整设计流程理解DHCP、VLAN、交换机级联等关键技术的实际应用方法。1. 120 台终端、100 个 IP办公楼局域网设计的真实约束设计一个小型办公楼局域网最容易在开始时被一个数字卡住五层楼120 台电脑需要接入网络物业只分配了 100 个 IP。一个 IP 对应一台终端的做法在这里行不通必须把私有地址、DHCP 动态分发和出口地址复用一起考虑进去。这份计算机网络课程设计正是围绕这个约束展开的最终用 Cisco 2960 交换机组了两级级联局域网配合 DNS 和 WWW 服务器在 Packet Tracer 里把整套方案跑通。对正在完成数据通信课程设计的学生来说这里其实有三个容易丢分的细节第一选型理由写不清楚为什么用一台 2960 做一级、六台 2960 做二级第二DHCP 地址池和那 100 个 IP 的关系没说透第三验证只做 ping没有把 DNS、WWW 和不同网段间的转发一起验证。后面会按需求拆解、拓扑与地址规划、设备配置、模拟验证、安全与排错这条线往下讲。真正现场实施时场景会有差异但核心思路一致先用需求约束倒推拓扑再基于拓扑做服务配置最后用模拟工具验证。下面直接进入设计。2. 级联星型拓扑与 IP 编址Cisco 2960 的端口规划和 NAT 方案2.1 为什么选 2960 做二级级联Cisco WS-C2960-24 是一台非常典型的二层接入交换机。传输速率 10/100 Mbps端口数 26 个其中 24 个电口用于接终端2 个是上行扩展口支持 VLAN交换方式为存储-转发MAC 地址表 8K包转发率约 6.5 Mpps。放在这个场景里选它主要原因是 120 台终端不需要交换机具备三层路由能力终端之间的跨网段通信交给路由器完成交换机只负责转发数据帧二层设备足够。拓扑采用级联星型结构一台一级交换机作为汇聚点六台二级交换机分别连接各楼层的终端。因为五层楼中有一层终端数量较多所以那一层放两台二级交换机另外四层各放一台。每台二级交换机是 24 口留一个上联口后还能接 23 台终端六台合计可以提供 138 个接入端口覆盖 120 台 PC 有余量。为什么不直接拉一根长线把所有终端接到一台大交换机上办公楼物理位置分散五层楼的水平布线距离很容易超过双绞线 100 米的可靠传输上限。按楼层布置接入交换机再通过一级交换机汇聚是成本和控制范围都比较均衡的做法。2.2 IP 编址内网私有地址和公网地址分开规划物业分配的 100 个 IP 不应该直接配到终端网卡上否则地址数量和终端数量对不上。终端侧采用私有网段 192.168.0.0/24由 DHCP 服务统一分配服务器和网关使用静态地址终端从地址池中动态获取。公网那 100 个 IP 放在路由器外网侧作为 NAT 转换的地址池使用。角色地址范围 / 网段分配方式说明终端 PC192.168.0.100 - 192.168.0.199DHCP动态租约避免手工配置冲突网关192.168.0.254静态路由器 LAN 口地址DNS/WWW 服务器192.168.0.10静态部署在机房地址固定预留地址192.168.0.1 - 192.168.0.99200 - 253排除交换机管理地址、临时调试用出口地址100.64.0.1 - 100.64.0.100NAT 地址池供 120 台终端复用上网这里有两点容易被忽略第一DHCP 地址池必须排除服务器和网关地址否则服务器 192.168.0.10 可能被分配给某台终端导致 DNS 和 WWW 服务全部不可达第二120 台终端可以在内网网段中各取所需访问外网时由路由器把私有地址转换成公网地址即使只有一个公网 IP也可以用 overload 方式让 120 台终端同时上网100 个 IP 的地址池主要是提高并发会话能力。2.3 一级交换机的端口连接与模拟器里的物理拓扑在 Packet Tracer 中连接关系可以按下面的端口规划搭建一级交换机 2960-24 端口规划 Gi0/1 - 路由器内网接口 Gi0/2 - DNS/WWW 服务器 Gi0/3 - 二层交换机 F1 Gi0/4 - 二层交换机 F2 Gi0/5 - 二层交换机 F3 Gi0/6 - 二层交换机 F4 Gi0/7 - 二层交换机 F5-A Gi0/8 - 二层交换机 F5-B Fa0/1-24 - 各楼层终端这段规划说明了为什么一级交换机不需要太多端口它不直接接终端只接路由器、服务器和六台二级交换机总共八个口就够。”我一般会”把服务器放在机房机房的物理位置尽量选在楼宇中心方便水平布线和降低线缆成本。模拟器环境里PC 到交换机选直通线交换机到交换机、路由器到交换机选交叉线新版本 Packet Tracer 会自动协商但课程设计说明书里最好还是把线缆类型写明。3. 交换机初始化与 DHCP/DNS/WWW 服务落地3.1 核心交换机基础配置先登录一级交换机做最基础的配置。模拟器里不用配置路由协议只需要保证端口处于开启状态并让终端所在 VLAN 保持默认一致。enable configure terminal hostname Core-SW interface range FastEthernet0/1-24 duplex auto speed auto no shutdown exit interface range GigabitEthernet0/1-2 no shutdown exit这段命令把 24 个百兆口和 2 个千兆口全部开启双工和速率设为自动协商。原因是终端网卡速率可能不一致手动锁定为 100 Mbps 会让老设备无法上线。no shutdown在 Packet Tracer 中可以省略但真机上必须执行否则端口会被管理性关闭。如果后续要划分 VLAN还要给对应端口加上switchport access vlan 10之类的命令。3.2 路由器接口与 NAT 配置路由器需要承担网关和 NAT 两个任务。内网接口接到一级交换机外网接口接到运营商侧并启用 NAT 转换。enable configure terminal hostname Office-GW interface GigabitEthernet0/0 ip address 192.168.0.254 255.255.255.0 ip nat inside no shutdown exit interface GigabitEthernet0/1 ip address 100.64.0.1 255.255.255.0 ip nat outside no shutdown exit access-list 1 permit 192.168.0.0 0.0.0.255 ip nat inside source list 1 interface GigabitEthernet0/1 overloadip nat inside和ip nat outside分别标记接口属于内网还是外网这是 NAT 转换的方向依据。access-list 1允许 192.168.0.0/24 这个私有网段被转换。最后一行overload是关键它让内网所有终端复用路由器外网接口的公网地址去访问外部网络也就是端口地址转换 PAT。物业分配的 100 个 IP 如果要用满可以换成ip nat pool WAN-POOL 100.64.0.2 100.64.0.100 netmask 255.255.255.0然后把interface GigabitEthernet0/1替换成pool WAN-POOL。3.3 DHCP 服务配置DHCP 在本设计的部署位置有两种选择配置在路由器上或者配置在 Windows 服务器上。Packet Tracer 里更推荐配置在路由器上命令收敛排错方便。以路由器作为 DHCP 服务器地址池如下ip dhcp excluded-address 192.168.0.1 192.168.0.99 ip dhcp excluded-address 192.168.0.200 192.168.0.254 ip dhcp pool OFFICE-LAN network 192.168.0.0 255.255.255.0 default-router 192.168.0.254 dns-server 192.168.0.10 lease 1 0 0第一行和第二行是排除地址保证网关、服务器和管理地址不会被 DHCP 分出去。地址池OFFICE-LAN分配 192.168.0.100 到 192.168.0.199共 100 个可用租约但注意终端总数是 120内网地址空间本身是 254 个可用地址所以完全够用。真正受 100 个 IP 限制的是公网出口不是内网 DHCP。租约时间设为 1 天办公网终端数量固定租约太短会导致广播请求频繁太长则地址回收不灵活。如果改用 Windows Server 做 DHCP原理一致在 DHCP 管理控制台新建作用域地址范围填 192.168.0.100 到 192.168.0.199排除范围填 192.168.0.1 到 192.168.0.99 以及 200 到 254作用域选项填写路由器 192.168.0.254 和 DNS 服务器 192.168.0.10。3.4 DNS 与 WWW 服务器配置服务器先配置静态 IP避免因 DHCP 变化导致地址漂移。在 Packet Tracer 中服务器 IP 设为 192.168.0.10掩码 255.255.255.0网关 192.168.0.254DNS 指向自身。然后在服务页开启 DNS 服务添加一条 A 记录把www.office.local解析到 192.168.0.10最后开启 HTTP 服务默认页面会自动发布。真实 Linux 环境下的 Nginx 配置可以对应看server { listen 192.168.0.10:80; server_name www.office.local 192.168.0.10; root /var/www/office; index index.html; }这里listen指定服务器监听地址和端口server_name让域名访问和 IP 访问都能命中同一个站点root指向网页文件目录。Windows Server 上的 DNS 操作更简单只需要在 DNS 管理器里新建正向查找区域再添加主机记录即可。配置完成后终端通过 DHCP 自动获得 DNS 地址 192.168.0.10访问http://www.office.local时就能解析到服务器并加载页面。4. Packet Tracer 下的 DHCP、DNS 与跨网段转发验证4.1 DHCP 租约验证网络搭建完成后先验证终端能否获取地址。在 Packet Tracer 的 PC0 命令行里执行PC ipconfig /release PC ipconfig /renew PC ipconfigipconfig /release释放当前地址ipconfig /renew重新发起地址请求。正常输出会显示 IP 地址 192.168.0.100、子网掩码 255.255.255.0、默认网关 192.168.0.254 和 DNS 服务器 192.168.0.10。如果这里获取不到地址优先检查 DHCP 地址池是否配置正确、路由器接口是否启用以及终端是否连接在正确的交换端口上。从协议角度看ipconfig /renew触发的是 DHCP Discover、Offer、Request、ACK 四个过程。Packet Tracer 的仿真模式下可以逐个捕获这四种报文课程设计文档里放这一组截图比只写“DHCP 配置成功”更有说服力。4.2 DNS 与 WWW 服务验证终端获取地址后用 nslookup 验证域名解析PC nslookup www.office.local Server: 192.168.0.10 Address: 192.168.0.10 Name: www.office.local Address: 192.168.0.10返回结果里的 Server 是终端实际使用的 DNS 服务器地址。如果 nslookup 返回超时先确认服务器 DNS 服务处于开启状态再确认终端 DHCP 获取的 DNS 参数是不是 192.168.0.10。域名解析通过后在浏览器里输入http://www.office.local能打开页面就说明 DNS 和 WWW 全链路正常。4.3 同网段转发与跨网段通信验证终端 PC0 向同一网段主机 192.168.0.13 发送消息时数据包从 PC0 出发经二级交换机送到一级交换机再转发到目的终端所在的二级交换机。这个过程中源 IP 和目的 IP 都不变变化的只有数据帧的源 MAC 和目的 MAC。用 ping 验证如下PC ping 192.168.0.13跨网段通信则通过路由器完成。例如终端 ping 外网侧设备 100.64.0.254数据包先到达默认网关 192.168.0.254路由器将源地址从 192.168.0.100 转换为外网口地址再从外网接口转发出去。可以在 PC 上执行PC tracert 100.64.0.254第一跳显示 192.168.0.254说明数据包先经过网关后续路径能通就说明 NAT 和路由配置正常。这里建议单独使用一个不存在的公网地址做测试确认出口没有异常流量阻塞。若跨网段 ping 不通重点检查三处路由器内网接口是否配置ip nat inside外网接口是否配置ip nat outside以及access-list 1是否覆盖了全部内网网段。4.4 模拟器抓包观察数据转发Packet Tracer 的 Simulation 模式可以查看每个数据包的状态。点击 ICMP 包展开后能清楚看到数据帧头部信息同一网段内经过交换机时源 MAC 和目的 MAC 逐跳变化而 IP 层地址不变跨网段经过路由器时源 IP 被 NAT 改写。这个观察点对理解二层转发和三层路由的区别很关键。抓包时如果发现大量 ARP 广播往往是有终端手动配置了重复的 IP而不是 DHCP 统一分配导致的。5. 用 ACL 守住服务器用租约和 NAT 表审计办公网5.1 限制终端对服务器的非必要访问DNS 和 WWW 服务器只需要对外提供 53 端口和 80 端口服务。没有限制时任何终端都能尝试访问服务器的远程桌面、文件共享等端口这在办公网里很容易被利用。可以在路由器内网接口上做入向 ACL只放行指向服务器的 DNS 和 HTTP 流量。access-list 101 permit tcp any host 192.168.0.10 eq 80 access-list 101 permit udp any host 192.168.0.10 eq 53 access-list 101 deny ip any host 192.168.0.10 access-list 101 permit ip any any interface GigabitEthernet0/0 ip access-group 101 inACL 的关键是顺序先放行允许的服务再拒绝所有到服务器的流量最后放行其他内网互访流量。Cisco ACL 按第一条匹配如果先写deny ip any host 192.168.0.10后面的放行规则就不会生效。需要远程管理服务器时可以在第二条之前补一条permit tcp any host 192.168.0.10 eq 3389。5.2 用 DHCP 租约和 NAT 表判断容量瓶颈网络运行一段时间后不要只看通不通要看地址池和地址转换是否健康。路由器上三个命令足够定位大多数问题Router# show ip dhcp binding Router# show ip dhcp pool Router# show ip nat translationsshow ip dhcp binding会列出每个租约对应的终端地址和剩余时间如果发现地址池中的 IP 都被占用而终端数量并没有达到 120可能是有设备长时间占用租约需要把租期缩短。show ip nat translations查看公网地址复用情况如果大量转换记录的 inside global 都是同一个 IP说明 overload 正在正常工作如果看到 timeout 状态的记录堆积通常是应用层连接没有正常释放办公网内最常见的来源是下载工具和视频客户端。这里可以根据会话数估算容量一个公网 IP 理论可以维持数万个会话100 个 IP 的地址池对办公上网绰绰有余真正需要关注的是内网 DHCP 排除范围和租约回收节奏。本文还有配套的精品资源点击获取